AIエージェント：新たな「従業員」がもたらすセキュリティリスク

AIエージェントは、単なるアプリケーションではありません。むしろ「従業員」に近い存在です。ではなぜ、私たちはそれらをアプリケーションとして扱い続けているのでしょうか。

AIエージェントは、従来のアプリケーションのようには振る舞いません。システムへアクセスし、自ら意思決定を行い、継続的に稼働します。毎回明示的にトリガーされなくても、人間や他のシステムと相互にやり取りします。これは単なる自動化でも、スクリプトでもありません。まさに「デジタルワーカー」と呼ぶべき存在です。それにもかかわらず、多くの組織はいまだにAIエージェントを使い捨てのアプリケーションのように扱っています。すなわち、一度デプロイして設定すれば、そのまま放置できるものと捉えているのです。このような認識は、次世代のインサイダーリスクを自ら生み出すことにつながります。

AIエージェントの振る舞いがアプリケーションよりも人間に近いのであれば、そのライフサイクルも人事（HR）の観点で捉える必要があります。つまり、従業員に対して行っているのと同様のチェックと統制を適用すべきだということです。2026年のMicrosoftのレポートによると、Fortune 500企業の80％以上がAIエージェントを導入しています。しかし、2025年のHarvard Business Reviewの調査では、コアとなる業務プロセスをエンドツーエンドで自律的に担わせることをAIエージェントに対して信頼している企業は、わずか6％にとどまっています。

私たちは、AIエージェントの「採用」「協働」「解雇」のあり方そのものを、根本から見直す必要があります。

AIエージェントの「採用」

人材を採用する際には、事前の確認や調査を怠ることはありません。バックグラウンドチェックを行い、資格や経歴を確認し、担うべき役割を明確に定義します。そして、初日からすべてのシステムへのアクセス権を与えるようなこともありません。

ところが、企業がAIエージェントを導入する場面では、まさにその逆のことが起きています。私たちはこれまで10年以上にわたり「ゼロトラスト」を語ってきたはずです。それにもかかわらず、新たな従業員（たとえそれがAIであっても）に対して、あらゆる鍵や権限を一度に渡してしまっているのが実情です。権限の過剰付与が常態化しています。

AIエージェントはスピード重視で立ち上げられます。しかし、その学習データがどこから来ているのかを十分に精査することはほとんどありません。モデルのサプライチェーンが信頼できるものかどうかを検証することもありません。さらに、そのAIエージェントに「絶対にやらせてはいけないこと」を明確に定義していないケースも多く見受けられます。そして、「まずは動かすために」という理由で、必要以上の権限を与えてしまうことも少なくありません。

その結果、どうなるでしょうか。出自が不確かで、行動範囲も曖昧なまま、過剰な権限だけを持ったデジタル従業員を採用してしまうことになります。もしそのAIエージェントが侵害されたり、操作されたり、あるいは単に意図とずれて動作しただけでも、その影響範囲は極めて大きなものになります。金融部門で無制限のアクセス権を持つ不適切な人材がインサイダーリスクを引き起こすのと同様に、AIエージェントによる被害も決して仮説にとどまるものではありません。確実に実害として現れます。

また、「このAIエージェントはプロンプトインジェクションに耐えられるのか」「ハルシネーションを起こさないのか」といった問いも、本来は適切な事前検証なしに語れるものではありません。基盤となるモデルや学習データといった“バックグラウンド”を十分に確認しないままでは、そのAIエージェントは自身のモデルやガードレール、制約に従って動作する結果、私たちの意図や要件と乖離したタスクを実行してしまう可能性があります。

AIエージェントとの「協働」

従業員は、入社したからといって無条件に信頼されるものではありません。業務の進め方は適切に管理され、成果は継続的に評価されます。アクセス権も定期的に見直され、振る舞いに変化があれば、誰かがそれに気づきます。AIエージェントにも、同じ水準の管理と統制が求められます。

AIエージェントは、従来のアプリケーションとは本質的に異なります。権限は使うほどに積み重なり、入力される情報や置かれた環境によって振る舞いが変化していきます。厄介なのは、自信を持ったまま、しかも周囲に気づかれにくい形で誤ることです。人間が誤った判断をすれば、違和感として表に出やすいものですが、AIエージェントは誰にも気づかれないまま、誤った判断を何千回と繰り返してしまう可能性があります。

振る舞いの記録を残さず、異常の兆候を監視せず、アクセス権の見直しも行わず、責任を持つ担当者も明確にしていない——そのような状態で運用しているのであれば、それは実質的に、眠ることもなく、指示を仰ぐこともない「特権を持つ内部関係者」を組織の中に抱えているのと同じです。

さらに、管理者の立場として、チームメンバーには常に学び続け、知識を広げてほしいと考えるのが自然です。会議への参加やオンライン講座の受講を後押しするのも、そのためです。AIエージェントについても同様に、継続的に進化し、学習していくことが前提になります。しかし、その学習に使われる新たなデータは、誰が与えているのでしょうか。その内容を適切に理解できているのでしょうか。そして、その情報が意図どおりに使われているかを、きちんと検証しているでしょうか。

ここで生じるのは、単なるセキュリティ上の問題にとどまりません。統制、法令順守、さらには企業の評判にまで及ぶリスクへと広がっていきます。規制当局や取締役会から「この判断を誰が承認したのか」と問われたときに、「モデルがそう判断しました」と答えるだけでは、説明として成り立ちません。

AIエージェントの「解雇」

従業員が退職する際には、一定の手続きが伴います。アクセス権は速やかに剥奪され、認証情報は無効化され、担当していた業務は適切に引き継がれます。そうして初めて、きちんとした「区切り」がつく訳です。では、AIエージェントの場合はどうでしょうか？現実には、そのような整理が十分に行われているとは言えません。AIエージェントは稼働し続け、認証情報は有効なまま残り、APIトークンも失効しないまま放置されることが少なくありません。そして多くの場合、「そのエージェントの責任者は誰なのか」を明確に答えられる人がいないのです。

こうして「シャドーAI」が生まれます。正規の認証情報を持ちながら、誰にも管理されていないAIエージェント——いわば「幽霊従業員」が、組織の中に存在し続ける状態です。その帰結は極めて明確です。管理されないまま残されたアクセス権は、そのまま攻撃の入口となります。さらに厄介なのは、これらの主体が人間ではないという点です。そのため、監査のプロセスにおいても見落とされやすく、発見自体が難しくなります。その帰結は極めて明確です。さらに、これらの主体は人間ではないため、監査においても見つけにくいという問題があります。

Cato CTRL™ Threat Research: Inside Shadow AI | Read The Blog

結論

私たちは、大規模なリスクをどのように管理すべきかを、すでに理解しています。人に対しては、何十年にもわたって実践してきました。体系的な採用、継続的な監督、正式な退職手続き、そして明確な責任の所在——これらはすべて、当たり前の仕組みとして根付いています。

いま、AIエージェントは組織の中に入り込み、意思決定を行い、実際に行動しています。にもかかわらず、それらを単なるソフトウェアとして扱い続けていること、それが問題なのです。AIエージェントはもはや従来のソフトウェアではありません。新たな「デジタル従業員」であり、それに見合ったライフサイクル全体での統制が求められます。

問うべきは、「AIエージェントを労働力の一部として扱うべきかどうか」ではありません。本質的な問いは、「いま、自社には何人のデジタル従業員が存在し、その管理責任は誰が負っているのか」を把握できているかどうかです。

企業にとって重要なのは、AIエージェントに関するセキュリティリスクに後手で対応するのではなく、先回りして捉えることです。それができてはじめて、これらのリスクを正しく把握し、状況を見極め、適切に判断し、行動へとつなげることが可能になります。